Hệ thống quản lý tài khoản cá nhân của Techcombank có thực sự được bảo mật?
Như bài trước mình đã viết, khi mở tài khoản cá nhân ở ngân hàng Techcombank, khách hàng ra về tay không. Nghĩa là chẳng có bản sao hợp đồng mở tài khoản, không có bộ điều khoản hợp đồng bao gồm các quy định về dịch vụ mà ngân hàng sẽ cung cấp cho khách hàng ... Tuy nhiên, thực tế khách hàng đã bắt buộc phải ký xác nhận là đã đọc và hiểu các điều khoản quy định về hợp đồng mở tài khoản cá nhân tại ngân hàng Techcombank.
Trong đó co điều khoản cực nguy hiểm là: Ngân hàng Techcombank sẽ có quyền tự ý thêm bất kỳ dịch vụ nào vào gói dịch vụ tài khoản Fast I-bank mà khách hàng đã đăng ký sử dụng. Tuốt tuột nhé, ko có bất kỳ sự lựa chọn nào. Mình nhấn mạnh ko có sự lựa chọn nào về dịch vụ cũng như hạn mức chuyển tiền theo mỗi phiên giao dịch và theo ngày. Everyone the same!!!
Nó giống kiểu bạn vào nhà hàng có tên Techcombank, lúc vào ngồi thấy các em chân dài đi lại tươi cười vui vẻ nhưng chờ mãi ko thấy Menu. Sau đó có một em chân dài ra bảo anh/chị cứ ngồi đây lát em bê gì ra chị phải ăn món đó rồi trả tiền theo quy định của nhà hàng em. Nếu ko thì mời các anh/chị BIẾN. OK, chờ mãi rồi cũng đói phải ăn gì đó thôi. Tuy nhiên, nếu ăn vào đau bụng thì Techcombank ko có chịu trách nhiệm đâu nhé. Khách tự ăn mà, tự trả tiền đê, tự chịu đê.
Ngân hàng Techcombank đã setup hệ thống bảo mật như thế nào để đảm bảo vệ quyền lợi của khách hàng?
Theo thông tư 35/2016/TT-NHNN của ngân hàng nhà nước có quy định như sau:
1. Mục 1, Điều 7, khoản 6c: "Có cơ chế kiểm soát phiên giao dịch và thời gian truy cập website, ứng dụng. Trường hợp người sử dụng không thao tác trong một khoảng thời gian do đơn vị quy định nhưng không quá năm phút, hệ thống tự động ngắt phiên giao dịch hoặc áp dụng các biện pháp bảo vệ khác".
Bạn truy cập đi để màn hình đến 10 phút ko làm gì thì nó cũng chẳng đóng đâu. Cứ test đi sẽ thấy, nếu ko thấy tức là Techcombank mới fix lỗi này do tớ chỉ ra. Nhưng tớ có video ghi lại nhé, tớ sẽ cho xem nếu cần.
2. Mục 2, Điều 9, khoản 1b: "Mã khóa bí mật phải có độ dài tối thiểu sáu ký tự, bao gồm các ký tự chữ và số, có chứa chữ hoa và chữ thường hoặc các ký tự đặc biệt"
Ngân hàng Techcombank quy định "mật khẩu từ 6 đến 8 ký tự bao gồm cả chữ và số; không bao gồm tiếng Việt có dấu hoặc kí tự đặc biệt"
--> Sai toét, và hệ thống cho phép đặt mật khẩu là các dãy số liên tục hoặc ký tự liên tục.
3. Mục 2, Điều 10, khoản 2a: "OTP gửi tới khách hàng phải kèm thông tin cảnh báo để khách hàng nhận biết được mục đích của OTP";
Ngân hàng Techcombank gửi mã OTP đến khách hàng như sau: "Mã OTP là 123456. Mã OTP chỉ sử dụng 1 lần cho giao dịch điện tử ngân hàng điện tử Techcombank. Quý khach vui lòng bảo mật thông tin".
--> Đọc xong cái này khách hàng có nhận biết được mục đích mã OTP là gì ko ạ? chắc chắn là ko rồi, thế mới là đố vui mất tiền.
4. Mục 2, Điều 10, khoản 4c: "Phần mềm tạo OTP phải được kiểm soát truy cập. Trường hợp xác thực truy cập sai năm lần liên tiếp, phần mềm phải tự động khoá không cho khách hàng sử dụng tiếp";
Mình đã test, nhập Password sai + nhập mã OTP sai. Nhưng mã OTP vẫn cứ được tạo liên tục. Cứ thử trên tài khoản của bạn đi, nếu nó bắt đổi password thì nghĩ là mấy bạn phòng IT của Techcombank đã fix lỗi. Bạn nào ko tin đến tớ mở phone cho xem mã OTP nhiều như quân nguyên cả chục cái.
5. Mục 3, điều 13, khoản 4: Ngân hàng có trách nhiệm xây dựng cơ chế rà soát, kiểm tra việc cập nhật các bản vá lỗi của phần mềm hệ thống, hệ quản trị cơ sở dữ liệu và phần mềm ứng dụng tối thiểu ba tháng một lần.
Tớ khẳng định bank Techcombank không thực hiện quy định này luôn, vì nếu có sao lại cho phép chuyển tiền đến số tài khoản là chữ?!?!
Tớ có bản ghi chuyển tiền liên ngân hàng, mà tớ nhập trường dữ liệu "Số tài khoản: Test he thong", gửi khoản 11k đến ngân hàng Viettinbank. Tiền vẫn đi như bay... đến thẳng Viettinbank, sau đó 1 ngày nó return với lý do tài khoản sai.
Điều này chứng tỏ chẳng có kiểm duyệt gì cả, khách hàng cứ chuyển là tiền cứ đi. Nhàn nhỉ... bảo sao chẳng lãi to. Nếu có rủi ro thì là khách hàng chịu, vì điều khoản khách hàng có đọc đâu mà biết.
Ngoài ra còn rất nhiều lỗ hổng trong hệ thống chuyển liên ngân hàng vì ko có quy trình xử lý lỗi giao dịch.
5. Có khi nào bạn tự hỏi bạn có thực sự cần sử dụng dịch vụ chuyển tiền liên ngân hàng 24/7?
Tớ thì chắc chắn ko cần, đối với tớ chuyển tiền đến đích trong ngày là đủ. Tuy nhiên, khi mình bảo với techcombank mình từ chối ko muốn sử dụng dịch vụ chuyển tiền liên ngân hàng 24/7 thì các bạn ấy bảo ko được chị nhé. Tất cả các khách hàng đều "được" dùng dịch vụ này.
Mình bảo "được" cái con khỉ, chị mày đếch thích được thì có giải pháp gì ko? Bạn Techcombank bảo em chắc chắn ko đấy... tức là nhà hàng cho ăn gì thì ăn đê, lựa chọn giề?
Bạn nào có tài khoản Fast I-Bank của Techcombank login vào mà xem, có cái mục chuyển tiền 24/7 mhes. Kịch bản: Hệ thống security online của Techcombank cực yếu kém + với chuyển tiền tức thì + khách hàng tự chịu trách nhiệm về tài khoản của mình = mất tiền trong tích tắc. Thôi đấy tùy nhé, dùng hay ko thì tự chọn.
Tớ bảo nhé... tài khoản ngân hàng... tiền của mình đấy... các cậu có ký hợp đồng mở tài khoản thì cần lưu ý:
- Chỉ mở tài khoản tại ngân hàng tôn trọng khách hàng, trong đó có điều khoản để khách hàng được giữ 1 liên hợp đồng.
- Hỏi rõ hướng dẫn sử dụng, hạn mức giao dịch, các điều khoản mà khách hàng phải tuân thủ. Đề nghị họ in ra giấy về lưu lại sau này có bất chắc xảy ra thì còn có cái mà làm căn cứ.
- Thỏa thuận cụ thể về các dịch vụ mình muốn dùng.
- Đặt password bao gồm cả chữ hoa, chữ thường, số và ký tự đặc biệt.
Kinh nghiệm đau thương từ mình - khách hàng đã bị mất một khoản tiền lớn trên hệ thống giao dịch điện tử của ngân hàng Techcombank.
Bạn nào cần bằng chứng ngân hàng ko tuân thủ đúng quy định pháp luật cứ gặp tớ nhé.
Toàn bộ lỗi bảo mật hệ thống ngân hàng Techcombank đã được mình inform đến ngân hàng một cách đầy đủ và chiều ngày 7/12/2017. Bạn nào cần nghe thì bảo mình gửi cho file ghi âm. Mình khẳng định ngân hàng setup hệ thống bảo mật kém, ko theo đúng quy định của Ngân hàng nhà nước. Các bạn ấy bảo sẽ rà soát [fix lỗi hệ thống] sau đó quay lại sẽ cắn cho mình một trận nhừ tử.
Mình đang chờ xem Ngân hàng Techcombank sẽ deal với vụ này ra sao. Tớ đang muốn kết nối với 100 khách hàng sử dụng dịch vụ Fast I-Bank của Ngân hàng Techcombank. Vụ này lớn nhé, có bạn nào bên báo chí cần thông tin chi tiết gặp tớ, tớ share thông tin để viết bài nghiêm túc. Bài viết được lấy ở đấy nha cả nhà: //www.facebook.com/nhien.ngo/posts/10155135132893225
Thông tu quy định của nhà nước anh em sờ ti bên Tech coi là cái đinh luôn
//thuvienphapluat.vn/van-ban/Tien-te-Ngan-hang/Thong-tu-35-2016-TT-NHNN-an-toan-bao-mat-cho-viec-cung-cap-dich-vu-ngan-hang-tren-Internet-333481.aspx